VRRP 与 HSRP 认证
同网段内任何人伪造高优先级的协议报文都能抢走主角色，把网关流量引向他处。开启认证后，报文必须携带正确的认证信息才会被接受，能挡住这类伪造。要注意部分新版本协议已不再支持认证字段，这类平台需要依赖链路层防护与其他机制。
基本信息
| 适用平台 | 华为 VRP、H3C Comware、思科 IOS（HSRP 与 VRRP 两套实现） |
|---|---|
| 华为与 H3C | 接口下 vrrp vrid 组号 authentication-mode simple 或 md5 cipher 口令 |
| 思科 HSRP | 接口下 standby 组号 authentication md5 key-string 口令 |
| 思科 VRRP | 接口下 vrrp 组号 authentication md5 key-string 口令 |
| 一致性要求 | 两端认证类型与口令必须完全一致 |
认证类型与注意点
| 类型 | 强度 | 注意点 |
|---|---|---|
| simple（明文） | 弱，仅防误配 | 口令在配置中以密文显示，但报文中保护有限 |
| md5（摘要） | 较强 | 三厂互通时类型必须一致 |
| 协议版本影响 | 视版本而定 | VRRPv3 与部分平台已移除认证字段 |
| HSRP 增强 | 较灵活 | 部分平台支持密钥链形式，按平台文档确认 |
| 口令要求 | —— | 与业务口令分离，定期轮换 |
典型使用场景
- 接入网段存在其他设备，担心伪造协议报文抢走主角色
- 安全整改要求网关协议报文不可被伪造
- 多厂商互通时统一认证类型，避免一端认证一端不认证
- 演练验证：确认认证不一致时是否会形成双主
- 排查双主：先核对两端认证类型与口令是否一致
华为 VRP 与 H3C Comware
华为 VRP 与 H3C Comware
interface Vlanif10 # 华为
vrrp vrid 1 authentication-mode md5 cipher MyPass@123
display vrrp vrid 1 verbose # 可见认证类型
interface Vlan-interface10 # H3C
vrrp vrid 1 authentication-mode md5 cipher MyPass@123
display vrrp verbose思科 IOS
思科 IOS
interface Vlan10 # HSRP
standby 1 authentication md5 key-string MyPass@123
show standby 1 | include auth
interface Vlan10 # VRRP
vrrp 1 authentication md5 key-string MyPass@123
show vrrp brief认证类型必须两端一致：一端用明文、一端用摘要时，双方互相丢弃报文，各自认为自己是主，直接形成双主。排查双主时先核对认证配置，再查链路与报文可达性。
部分平台与较新的协议版本已不再支持认证字段，加密机制也有所变化。升级或跨厂商组网前先确认双方支持的认证方式，不要照搬老配置。